Što upozorenje govori
Poslužitelj dokazuje svoj identitet ključem domaćina. Kada se ključ razlikuje od onoga koji je vaš klijent ranije spremio, OpenSSH prikazuje REMOTE HOST IDENTIFICATION HAS CHANGED i odbija vezu. Klijent ne može razlikovati bezazlenu promjenu od napada, pa upozorenje smatrajte neriješenim dok ga ne provjerite.
Uobičajeni uzroci
Uobičajeni su uzroci ponovna instalacija poslužitelja, virtualni stroj vraćen ili kloniran iz slike, adresa koja je sada dodijeljena drugom računalu i raspoređivač opterećenja koji vas usmjerava na različite čvorove. Napadač koji presreće vezu izaziva isto upozorenje. Ako promjenu niste očekivali, stanite i ne unosite lozinku.
Usporedite otiske
Pročitajte stvarni otisak na poslužitelju kanalom koji ne ovisi o toj SSH vezi, primjerice konzolom pružatelja usluge ili konzolom hipervizora. Naredba ssh-keyscan prikazuje samo ono što vam mreža predstavlja, pa sama po sebi ništa ne dokazuje. Korisna je samo za usporedbu s vrijednošću iz konzole.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Zamijenite stari zapis
Tek kada se otisci podudaraju, uklonite stari zapis i ponovno se povežite. Nestandardni port ima vlastiti zapis napisan s uglatim zagradama. ssh-keygen čuva prethodnu datoteku kao known_hosts.old. Ne isključujte StrictHostKeyChecking i ne brišite cijelu datoteku known_hosts jer time uklanjate zaštitu za sve svoje poslužitelje.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleIzbjegnite upozorenje nakon ponovne instalacije
Ako planirate ponovno izgraditi poslužitelj i želite zadržati njegov identitet, sigurno izradite sigurnosnu kopiju ključeva domaćina u /etc/ssh i vratite ih s istim vlasnikom i pravima. S klonovima postupite obrnuto: svako računalo napravljeno iz jedne slike treba vlastite ključeve domaćina, inače više poslužitelja dijeli isti identitet.
Ključevi domaćina u CH-J Server Manager
Aplikacija čuva SHA-256 otiske ključeva domaćina u svojem šifriranom trezoru, odvojeno od datoteke known_hosts alata OpenSSH. Pri promjeni blokira vezu i prikazuje poznati i novi otisak. Zapis se zamjenjuje samo ako potvrdite, a odustajanje ništa ne mijenja. U Alpha 0.1.1 provjera obuhvaća i svaki preskočni poslužitelj, a prijenos u tijeku zaustavlja se kada se ključ promijeni. Aplikacija ne može provjeriti novi otisak umjesto vas, pa provjera drugim kanalom ostaje vaš zadatak.